DORA Kapitel II

Katalog der IKT-Sicherheitsmaßnahmen

Der gesetzliche Mindestbestand, interne Konkretisierungen und Evidence in einer konsistenten Sicht — ohne eine zweite Regelwelt neben dem Anweisungswesen.

Katalogstand: 107 Maßnahmen · 16 Themen · 95 fachlich geprüft

Fachlicher Rechtsreview: 31.07.2026 · Quellenlinks geprüft: 11.08.2026 · lokale Arbeitsstände verbleiben in diesem Browser.

107 Maßnahmen anzeigen

Katalogarchitektur

Eine Sicht auf vier verbindlich gekoppelte Ebenen

DORA liefert den Mindestbestand. Der Katalog konsolidiert und konkretisiert ihn. Verbindlich werden Maßnahmen im freigegebenen Anweisungswesen; ihr tatsächlicher Zustand wird durch Ausführung, Wirksamkeitsprüfung und Evidence belegt.

1. Regulatorischer Mindestbestand

DORA und die technischen Regulierungsstandards definieren den verpflichtenden Mindest-Sollzustand.

2. Konsolidierte Katalogsicht

Der Katalog bündelt verteilte Anforderungen, Konkretisierungen und Kontrollziele ohne eine zweite Regelwelt zu schaffen.

3. Verbindliches Anweisungswesen

Strategien, Leitlinien, Richtlinien und Verfahren bleiben die freigegebene und verbindliche Quelle.

4. Umsetzung und Evidence

Kontrollausführung, Wirksamkeitsprüfung und Nachweise belegen den tatsächlichen Umsetzungsstand.

Maßnahmen

107

Themenbereiche

Fachlich geprüft

Evidenzbeispiele

359

ISO-Crosswalk-Anker

Volltextsuche Themenbereich Anforderungstyp Arbeitsstatus Rechtscharakter Fachlicher Prüfstatus Umsetzungsebene Sortierung

Umsetzungscockpit

Arbeitsstand und nächste Prioritäten

Bewertungsfortschritt 0 %

0 Maßnahmen

Arbeitsstand laden

Sammelbearbeitung

Keine Maßnahmen ausgewählt

Status Priorität Verantwortung Zieldatum

DORA-GOV-001 · Governance & Verantwortung

Art. 5, Art. 6

Leitungsorgan verankert Resilienzstrategie im Jahreszielprozess

Resilienzprioritäten werden vom Leitungsorgan gesteuert und budgetwirksam beschlossen.

DORA-GOV-002 · Governance & Verantwortung

Art. 5, Art. 6

Rollenmodell für Three-Lines-Resilienzsteuerung

Verantwortlichkeiten für Umsetzung, Überwachung und Prüfung sind eindeutig abgegrenzt.

DORA-GOV-003 · Governance & Verantwortung

Art. 5, Art. 6

Management-Reporting mit Frühwarnindikatoren

Leitungsentscheidungen basieren auf konsistenten Resilienzkennzahlen und Trends.

DORA-GOV-004 · Governance & Verantwortung

Art. 5, Art. 6

Resilienzkompetenz für Entscheidungsträger ausbauen

Entscheidungsträger verstehen operationale Risiken, Abhängigkeiten und regulatorische Wirkung.

DORA-RISK-001 · IKT-Risikomanagement

Art. 6-16

Institutsspezifische IKT-Risikotaxonomie etablieren

IKT-Risiken werden einheitlich erfasst und vergleichbar bewertet.

DORA-RISK-002 · IKT-Risikomanagement

Art. 6-16

Risikobewertung für kritische Geschaeftsservices priorisieren

Steuerungsmaßnahmen orientieren sich an den kritischsten Serviceketten.

DORA-RISK-003 · IKT-Risikomanagement

Art. 6-16

Kontrollüberwachung auf Wirksamkeit statt nur Vollständigkeit ausrichten

Kontrollen reduzieren reale Risiken nachweisbar im Betrieb.

DORA-RISK-004 · IKT-Risikomanagement

Art. 6-16

Risikoreviews mit Change-Management koppeln

Wesentliche Architektur- und Prozessaenderungen werden risikobasiert freigegeben.

DORA-PDR-001 · Schutz, Erkennung & Reaktion

Art. 7-14

Schutzbedarfsgerechte Härtung kritischer Systeme

Kritische Systeme werden nach verbindlichen Sicherheitsbaselines betrieben.

DORA-PDR-002 · Schutz, Erkennung & Reaktion

Art. 7-14

Detektion mit Use-Case-gestuetztem Monitoring verbessern

Sicherheitsrelevante Anomalien werden früh erkannt und priorisiert bearbeitet.

DORA-PDR-003 · Schutz, Erkennung & Reaktion

Art. 7-14

Reaktionsplaybooks für priorisierte Angriffspfade

Sicherheitsvorfälle werden wiederholbar und innerhalb definierter Fristen bearbeitet.

DORA-PDR-004 · Schutz, Erkennung & Reaktion

Art. 7-14

Wiederherstellung mit priorisierten Recovery-Routen absichern

Kritische Services werden in tolerierbarer Zeit wiederhergestellt.

DORA-PDR-005 · Schutz, Erkennung & Reaktion

Art. 7-14

KI-gestützte Bedrohungserkennung und Abwehr von Frontier-AI-Angriffen

Frontier-AI-gestützte Cyber-Angriffe (autonome Vulnerability-Exploitation, KI-beschleunigte Angriffsketten) werden frühzeitig erkannt und abgewehrt.

DORA-PDR-006 · Schutz, Erkennung & Reaktion

Art. 7-14

Frontier-AI-beschleunigtes Schwachstellenmanagement und Zero-Day-Reaktion

Die durch Frontier-AI-Modelle drastisch verkürzte Zeit zwischen Vulnerability-Entdeckung und Exploitation (sub-hour TTP) wird durch automatisiertes Patching und virtuelle Patching-Mechanismen adressiert.

DORA-TST-006 · Digitale Resilienztests

Art. 24-27

Frontier-AI-Red-Teaming und Adversarial-ML-Tests im Resilienztestprogramm

Das TLPT-Testprogramm wird um KI-spezifische Angriffsszenarien erweitert: Adversarial Attacks, Model Evasion, Prompt Injection und simulierte Frontier-AI-Angriffsketten.

DORA-CORE-TPR-006 · IKT-Drittparteienrisiko

Art. 28-30

Frontier-AI-Provider-Risikomanagement und strategische Abhängigkeitssteuerung

Konzentrations- und geopolitische Abhängigkeitsrisiken von Frontier-AI-Modellanbietern werden identifiziert, bewertet und durch Diversifizierung oder technologische Souveränität reduziert.

DORA-INC-001 · IKT-Vorfälle

Art. 17-23

Klassifikation für IKT-Vorfälle mit Meldebezug

Vorfälle werden einheitlich eingestuft und regulatorisch korrekt behandelt.

DORA-INC-002 · IKT-Vorfälle

Art. 17-23

Vollständige Vorfallsdokumentation über den Lebenszyklus

Entscheidungen und Maßnahmen sind für Aufsicht und Revision transparent.

DORA-INC-003 · IKT-Vorfälle

Art. 17-23

Aufsichtsreporting für Vorfälle fristgenau orchestrieren

Erst-, Zwischen- und Abschlussmeldungen erfolgen konsistent und termingerecht.

DORA-INC-004 · IKT-Vorfälle

Art. 17-23

Vorfallschleifen in nachhaltige Verbesserungen überfuehren

Wiederkehrende Ursachen werden systematisch reduziert.

DORA-TST-001 · Digitale Resilienztests

Art. 24-27

Risikobasierte Teststrategie für digitale Resilienz

Tests decken die kritischsten Ausfallszenarien und Angriffspfade ab.

DORA-TST-002 · Digitale Resilienztests

Art. 24-27

Szenariobasierte Übungen für technische und fachliche Teams

Zusammenspiel von Fachbereich, IT und Krisenorganisation wird realitätsnah validiert.

DORA-TST-003 · Digitale Resilienztests

Art. 24-27

TLPT-Vorbereitung mit klarer Scope- und Sicherheitssteuerung

Threat-Led-Tests liefern verwertbare Erkenntnisse ohne unkontrolliertes Betriebsrisiko.

DORA-TST-004 · Digitale Resilienztests

Art. 24-27

Testbefunde in Architektur- und Prozessverbesserung überfuehren

Testresultate fuehren messbar zu robusteren Kontrollen und Betriebsablaeufen.

DORA-CORE-TPR-001 · IKT-Drittparteienrisiko

Art. 28-30

Drittparteieninventar für kritische Services konsolidieren

Alle wesentlichen Dienstleister und Abhängigkeiten sind transparent erfasst.

DORA-CORE-TPR-002 · IKT-Drittparteienrisiko

Art. 28-30

Risikobasierte Due Diligence vor Beauftragung verbindlich machen

Nur Anbieter mit tragfähigem Sicherheits- und Betriebsmodell werden beauftragt.

DORA-CORE-TPR-003 · IKT-Drittparteienrisiko

Art. 28-30

Vertragsklauseln für Resilienz und Auditierbarkeit standardisieren

Verträge sichern notwendige Informations-, Prüf- und Interventionsrechte ab.

DORA-CORE-TPR-004 · IKT-Drittparteienrisiko

Art. 28-30

Laufendes Dienstleistermonitoring und Exit-Readiness etablieren

Leistungsabfall und Risiken bei kritischen Providern werden früh erkannt und beherrscht.

DORA-REG-001 · Informationsregister

Art. 28 Abs. 3

Informationsregister-Datenmodell für Aufsichtsanfragen harmonisieren

Aufsichtsrelevante Informationen koennen konsistent und schnell bereitgestellt werden.

DORA-REG-002 · Informationsregister

Art. 28 Abs. 3

Register-Aktualisierung an Beschaffungs- und Change-Prozesse koppeln

Neuerungen bei Services und Providern werden ohne Zeitverzug im Register sichtbar.

DORA-REG-003 · Informationsregister

Art. 28 Abs. 3

Datenqualität des Registers messbar steuern

Registereintraege sind vollständig, korrekt und prüfbar.

DORA-REG-004 · Informationsregister

Art. 28 Abs. 3

Aufsichtsfähige Register-Exports standardisieren

Anfragen der Aufsicht koennen fristgerecht in gefordertem Format beantwortet werden.

DORA-EVD-001 · Nachweise & Auditfähigkeit

Art. 6, Art. 24, Art. 28

Nachweisarchitektur für Kontrollen und Entscheidungen aufbauen

Kontrollwirkung und Managemententscheidungen sind jederzeit belegbar.

DORA-EVD-002 · Nachweise & Auditfähigkeit

Art. 6, Art. 24, Art. 28

Prüfpfad für zentrale Resilienzentscheidungen etablieren

Prüfer koennen den Entscheidungsweg von Risiko bis Massnahme eindeutig nachvollziehen.

DORA-EVD-003 · Nachweise & Auditfähigkeit

Art. 6, Art. 24, Art. 28

Readiness-Checks für interne und externe Audits betreiben

Auditanfragen koennen fristgerecht mit validen Belegen beantwortet werden.

DORA-EVD-004 · Nachweise & Auditfähigkeit

Art. 6, Art. 24, Art. 28

Review-Zyklus für Richtlinien und Nachweise institutionalieren

Dokumentation bleibt aktuell und spiegelt den realen Steuerungszustand.

DORA-CORE-TPR-005 · IKT-Drittparteienrisiko

Art. 28-30

CTPP-Konzentrationsrisiken mit Szenarioanalysen steuern

Abhängigkeiten von kritischen IKT-Dienstleistern werden früh erkannt und aktiv reduziert.

DORA-TST-005 · Resilienztests

Art. 24-27

Testprogramm mit Recovery- und Kommunikationszielen koppeln

Resilienztests prüfen nicht nur Technik, sondern auch Wiederherstellung, Eskalation und externe Kommunikation.

DORA-EXT-001 · IKT-Drittparteienrisiko

Art. 28-30

Exit-Strategie und Ausstiegsplanung nach DORA Art. 28

Die Exit-Fähigkeit für kritische Dienstleister ist jederzeit nachweisbar und operativ umsetzbar.

DORA-EXT-002 · IKT-Drittparteienrisiko

Art. 28-30

Datenportabilität und Vendor-Lock-in-Prävention

Vendor-Lock-in-Risiken werden frühzeitig erkannt und durch vertragliche und technische Maßnahmen minimiert.

DORA-TPR-001 · IKT-Drittparteienrisiko

Art. 28-30

IKT-Dienstleisterinventar aufbauen und aktuell halten

Das Institut kann alle relevanten IKT-Drittdienstleistungen, Dienstleister, Verträge und zugehörigen Verantwortlichkeiten vollständig und aktuell nachvollziehen.

DORA-TPR-002 · IKT-Drittparteienrisiko

Art. 28-30

Abgrenzung von IKT-Dienstleistungen gegenüber sonstigen Leistungen

Das Institut kann IKT-Dienstleistungen eindeutig von sonstigen Fremdleistungen abgrenzen und damit den Anwendungsbereich der DORA-Drittparteienregelungen bestimmen.

DORA-TPR-003 · IKT-Drittparteienrisiko

Art. 28-30

Kritische oder wichtige Funktionen zuordnen

IKT-Dienstleistungen, die kritische oder wichtige Funktionen unterstützen, werden identifiziert und besonders gesteuert.

DORA-TPR-004 · IKT-Drittparteienrisiko

Art. 28-30

Dienstleisterrisikobewertung vor Beauftragung und laufend

Risiken durch IKT-Drittdienstleister werden vor Vertragsabschluss und während der gesamten Vertragslaufzeit bewertet.

DORA-TPR-005 · IKT-Drittparteienrisiko

Art. 28-30

Vertragsmindestinhalte nach DORA sicherstellen

Verträge mit IKT-Drittdienstleistern enthalten alle nach DORA erforderlichen Mindestklauseln.

DORA-TPR-006 · IKT-Drittparteienrisiko

Art. 28-30

Kontroll- und Zugangsrechte vertraglich sichern

Das Institut hat vertraglich gesicherte Prüfungs-, Zugangs- und Interventionsrechte bei IKT-Drittdienstleistern.

DORA-TPR-007 · IKT-Drittparteienrisiko

Art. 28-30

Unterauftragnehmer und Leistungsketten transparent machen

Das Institut hat Transparenz über Unterauftragnehmer und Leistungsketten kritischer IKT-Drittdienstleister.

DORA-TPR-008 · IKT-Drittparteienrisiko

Art. 28-30

Exit-Strategien für kritische IKT-Drittdienstleistungen

Das Institut kann kritische IKT-Drittdienstleistungen geordnet beenden, übertragen oder ersetzen, ohne die digitale operationale Resilienz unangemessen zu gefährden.

DORA-TPR-009 · IKT-Drittparteienrisiko

Art. 28-30

Exit-Test und Exit-Fähigkeit regelmässig überprüfen

Die praktische Umsetzbarkeit von Exit-Strategien wird regelmässig getestet und nachgewiesen.

DORA-TPR-010 · IKT-Drittparteienrisiko

Art. 28-30

Konzentrationsrisiken durch IKT-Drittdienstleister analysieren

Risiken aus der Konzentration auf einzelne Dienstleister, Regionen oder Technologien werden identifiziert und gesteuert.

DORA-TPR-011 · IKT-Drittparteienrisiko

Art. 28-30

Laufende Überwachung von IKT-Drittdienstleistern

Die Leistungs- und Risikoentwicklung kritischer IKT-Drittdienstleister wird kontinuierlich überwacht.

DORA-TPR-012 · IKT-Drittparteienrisiko

Art. 28-30

Informationsregisterfähigkeit für IKT-Drittdienstleistungen sicherstellen

Das Institut kann jederzeit ein vollständiges, richtiges und aktuelles Informationsregister über alle IKT-Drittdienstleistungen vorlegen.

DORA-TPR-013 · IKT-Drittparteienrisiko

Art. 28-30

Incident-Kommunikation mit IKT-Drittdienstleistern

IKT-bezogene Vorfälle bei Dienstleistern werden dem Institut zeitnah gemeldet und institutsintern korrekt behandelt.

DORA-TPR-014 · IKT-Drittparteienrisiko

Art. 28-30

Management Reporting zu IKT-Drittparteienrisiken

Das Leitungsorgan erhält regelmässig entscheidungsrelevante Informationen über IKT-Drittparteienrisiken.

DORA-TPR-015 · IKT-Drittparteienrisiko

Art. 28-30

Maßnahmen- und Befundverfolgung im TPR-Umfeld

Alle identifizierten Mängel, Risiken und Verbesserungsmaßnahmen im IKT-Drittparteienbereich werden systematisch verfolgt und bis zum Wirksamkeitsnachweis geschlossen.

DORA-IRM-001 · IKT-Risikomanagement

Art. 6-16

Governance-Rahmen für IKT-Risikomanagement etablieren

Das Institut verfügt über einen dokumentierten Governance-Rahmen, der IKT-Risikomanagement als integralen Bestandteil des gesamtinstitutischen Risikomanagements verankert.

DORA-IRM-002 · IKT-Risikomanagement

Art. 6-16

Rollen und Verantwortlichkeiten im IKT-Risikomanagement definieren

Rollen, Aufgaben, Kompetenzen und Verantwortlichkeiten für das IKT-Risikomanagement sind institutsweit eindeutig zugeordnet und dokumentiert.

DORA-IRM-003 · IKT-Risikomanagement

Art. 6-16

IKT-Risikostrategie und Risikoappetit festlegen

Das Institut verfügt über eine dokumentierte IKT-Risikostrategie, die den Risikoappetit, die Risikotragfähigkeit und strategische Ziele für IKT-Risiken definiert.

DORA-IRM-004 · IKT-Risikomanagement

Art. 6-16

IKT-Risikoinventar aufbauen und aktuell halten

Alle identifizierten IKT-Risiken werden in einem zentralen Risikoinventar erfasst, bewertet und aktuell gehalten.

DORA-IRM-005 · IKT-Risikomanagement

Art. 6-16

Schutzbedarfsfeststellung für IKT-Assets durchführen

Der Schutzbedarf aller IKT-Assets wird hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit systematisch festgestellt und dokumentiert.

DORA-IRM-006 · IKT-Risikomanagement

Art. 6-16

IKT-Risikoanalyse und -bewertung durchführen

IKT-Risiken werden systematisch analysiert, bewertet und priorisiert, um risikobasierte Entscheidungen zu ermöglichen.

DORA-IRM-007 · IKT-Risikomanagement

Art. 6-16

IKT-Risikobehandlung steuern und dokumentieren

Für jedes identifizierte und bewertete IKT-Risiko wird eine Behandlungsoption festgelegt und umgesetzt.

DORA-IRM-008 · IKT-Risikomanagement

Art. 6-16

Kontrollsystem für IKT-Risikomanagement aufbauen

Ein dokumentiertes Kontrollsystem stellt die Wirksamkeit der IKT-Risikomanagement-Maßnahmen sicher.

DORA-IRM-009 · IKT-Risikomanagement

Art. 6-16

Wirksamkeitsprüfung von IKT-Kontrollen institutionalisieren

Die Wirksamkeit der IKT-Kontrollen wird regelmässig geprüft, dokumentiert und bei Feststellungen nachgesteuert.

DORA-IRM-010 · IKT-Risikomanagement

Art. 6-16

Kritische IKT-Dienstleistungen identifizieren und Schutzbedarf bestimmen

Kritische IKT-Dienstleistungen und deren Schutzbedarf werden identifiziert und in das IKT-Risikomanagement einbezogen.

DORA-IRM-011 · IKT-Risikomanagement

Art. 6-16

IKT-Risikoüberwachung mit Frühwarnindikatoren betreiben

IKT-Risiken werden kontinuierlich überwacht und Frühwarnindikatoren zeigen Risikoveränderungen zeitnah an.

DORA-IRM-012 · IKT-Risikomanagement

Art. 6-16

Management-Reporting zu IKT-Risiken etablieren

Das Management erhält regelmässig entscheidungsrelevante Informationen über die IKT-Risikolage, Kontrollstatus, Vorfälle und Maßnahmenfortschritt.

DORA-IRM-013 · IKT-Risikomanagement

Art. 6-16

IKT-Risikobericht an das Leitungsorgan sicherstellen

Das Leitungsorgan erhält regelmässig einen umfassenden Bericht über die IKT-Risikolage und die Wirksamkeit des IKT-Risikomanagements.

DORA-IRM-014 · IKT-Risikomanagement

Art. 6-16

Eskalationsprozess für IKT-Risiken definieren und betreiben

Wesentliche IKT-Risiken, Kontrollabweichungen und Vorfälle werden zeitnah und auf der richtigen Management-Ebene eskaliert.

DORA-IRM-015 · IKT-Risikomanagement

Art. 6-16

Nachweis- und Evidenzmodell für IKT-Risikomanagement aufbauen

Alle IKT-Risikomanagement-Aktivitäten sind revisionssicher nachweisbar und mit dem Evidenzmodell der Plattform verknüpft.

DORA-IRM-016 · IKT-Risikomanagement

Art. 6-16

Integration von DORA, MaRisk und ISO 27001 im IKT-Risikomanagement

Die Anforderungen aus DORA, MaRisk und ISO/IEC 27001:2022 werden im IKT-Risikomanagement konsistent und aufwandsminimierend integriert.

DORA-IRM-017 · IKT-Risikomanagement

Art. 6-16

Reifegradmodell für IKT-Risikomanagement etablieren

Der Reifegrad des IKT-Risikomanagements wird regelmässig gemessen, berichtet und als Grundlage für Verbesserungsmaßnahmen genutzt.

DORA-IRM-018 · IKT-Risikomanagement

Art. 6-16

Schulungs- und Sensibilisierungsprogramm für IKT-Risiken aufbauen

Mitarbeitende und Führungskräfte werden regelmässig zu IKT-Risiken geschult und für ihre Verantwortung im IKT-Risikomanagement sensibilisiert.

DORA-KWF-001 · Kritische oder wichtige Funktionen

Art. 3 Nr. 22, Art. 28-30

Methodik zur Bestimmung kritischer oder wichtiger Funktionen etablieren

Das Institut verfügt über eine dokumentierte und freigegebene Methodik zur Bestimmung kritischer oder wichtiger Funktionen (kwF) nach DORA.

DORA-KWF-002 · Kritische oder wichtige Funktionen

Art. 3 Nr. 22, Art. 28-30

Prozesslandkarte für kwF-Bestimmung aufbauen

Eine vollständige Prozesslandkarte identifiziert alle institutsspezifischen Prozesse als Grundlage für die kwF-Bewertung.

DORA-KWF-003 · Kritische oder wichtige Funktionen

Art. 3 Nr. 22, Art. 28-30

Ausfallszenarien für kwF bewerten

Die Auswirkung eines Ausfalls von Prozessen, IKT-Systemen oder Dienstleistern auf kwF wird systematisch bewertet.

DORA-KWF-004 · Kritische oder wichtige Funktionen

Art. 3 Nr. 22, Art. 28-30

Pflichtverletzungsszenarien für kwF bewerten

Die Auswirkung einer Pflichtverletzung durch Ausfall oder Beeinträchtigung von Prozessen oder IKT-Systemen wird systematisch bewertet.

DORA-KWF-005 · Kritische oder wichtige Funktionen

Art. 3 Nr. 22, Art. 28-30

kwF-Managementfreigabe und Dokumentation sicherstellen

Die Einstufung als kritische oder wichtige Funktion wird managementseitig freigegeben und dokumentiert.

DORA-KWF-006 · Kritische oder wichtige Funktionen

Art. 3 Nr. 22, Art. 28-30

kwF-Review-Zyklus institutionalisieren

Die kwF-Einstufungen werden regelmässig überprüft und bei wesentlichen Änderungen aktualisiert.

DORA-RTA-001 · Regulierte Tätigkeiten

Art. 2, Art. 3, Art. 28 Abs. 3

Tätigkeiteninventar für regulierte Tätigkeiten aufbauen

Das Institut verfügt über ein vollständiges Inventar aller regulierten Tätigkeiten als Grundlage für kwF, Vorfallklassifikation und Informationsregister.

DORA-RTA-002 · Regulierte Tätigkeiten

Art. 2, Art. 3, Art. 28 Abs. 3

Mapping zwischen nationalen und europäischen Tätigkeitsbegrifflichkeiten etablieren

Nationale und europäische Begrifflichkeiten für regulierte Tätigkeiten werden konsistent gemappt und dokumentiert.

DORA-RTA-003 · Regulierte Tätigkeiten

Art. 2, Art. 3, Art. 28 Abs. 3

EBA-Identifier-Logik für das Informationsregister umsetzen

Die EBA-Identifier und deren Zuordnung zu IKT-Dienstleistungen sind für das Informationsregister korrekt und aktuell.

DORA-RTA-004 · Regulierte Tätigkeiten

Art. 2, Art. 3, Art. 28 Abs. 3

Registerdatenqualität für regulierte Tätigkeiten sicherstellen

Die Datenqualität der regulierten Tätigkeiten im Informationsregister wird systematisch überprüft und verbessert.

DORA-CON-001 · IKT-Verträge

Art. 28, Art. 29, Art. 30

Vertragsklassifikation für IKT-Dienstleistungen etablieren

IKT-Dienstleistungsverträge werden nach Kritikalität und Komplexität klassifiziert, um angemessene Anforderungen je Kategorie zu definieren.

DORA-CON-002 · IKT-Verträge

Art. 28, Art. 29, Art. 30

Mindestvertragsinhalte nach DORA sicherstellen

IKT-Dienstleistungsverträge enthalten alle nach DORA und institutsspezifisch erforderlichen Mindestinhalte.

DORA-CON-003 · IKT-Verträge

Art. 28, Art. 29, Art. 30

Unterauftragnehmerregelungen vertraglich sichern

Verträge mit IKT-Dienstleistern enthalten Regelungen zur Offenlegung, Genehmigung und Steuerung von Unterauftragnehmern.

DORA-CON-004 · IKT-Verträge

Art. 28, Art. 29, Art. 30

Exit-Regelungen vertraglich verankern

IKT-Verträge enthalten verbindliche Exit-Regelungen für eine geordnete Beendigung, Übertragung oder Ersetzung der Dienstleistung.

DORA-CON-005 · IKT-Verträge

Art. 28, Art. 29, Art. 30

Audit- und Kontrollrechte vertraglich sichern

IKT-Verträge enthalten umfassende Audit- und Kontrollrechte für das Institut und dessen Prüfungsinstanzen.

DORA-CON-006 · IKT-Verträge

Art. 28, Art. 29, Art. 30

Berichtspflichten in IKT-Verträgen regeln

IKT-Verträge enthalten verbindliche Berichtspflichten über Leistungserbringung, Sicherheitslage und Risikoentwicklung.

DORA-POL-001 · IKT-Richtlinien

Art. 5, Art. 6, Art. 9

Richtlinieninventar für IKT-Sicherheits- und DORA-Richtlinien aufbauen

Das Institut verfügt über ein vollständiges und aktuelles Inventar aller IKT-Sicherheitsrichtlinien und DORA-relevanten Richtlinien.

DORA-POL-002 · IKT-Richtlinien

Art. 5, Art. 6, Art. 9

Dokumentenlenkung für IKT-Richtlinien etablieren

IKT-Richtlinien durchlaufen einen standardisierten Dokumentenlenkungsprozess von Erstellung über Freigabe bis zur Archivierung.

DORA-POL-003 · IKT-Richtlinien

Art. 5, Art. 6, Art. 9

Leitungsorganfreigabe für IKT-Richtlinien sicherstellen

Wesentliche IKT-Richtlinien werden durch das Leitungsorgan oder die dafür bestimmte Management-Ebene freigegeben.

DORA-POL-004 · IKT-Richtlinien

Art. 5, Art. 6, Art. 9

Review-Trigger für IKT-Richtlinien definieren

IKT-Richtlinien werden anlassbezogen und mindestens jährlich auf Aktualität und Angemessenheit überprüft.

DORA-POL-005 · IKT-Richtlinien

Art. 5, Art. 6, Art. 9

Kontroll- und Nachweislogik in IKT-Richtlinien integrieren

IKT-Richtlinien enthalten eine dokumentierte Kontroll- und Nachweislogik, die die Einhaltung der Richtlinienanforderungen belegbar macht.

REG-NIS2-001 · Regulatory Landscape

Art. 1-2

NIS2-Anwendungsbereich für das Institut prüfen und dokumentieren

Das Institut prüft, ob und in welchem Umfang der NIS2-Anwendungsbereich für seine Tätigkeiten relevant ist.

REG-CRA-001 · Regulatory Landscape

Art. 1-2

CRA-Produktbezug für IKT-Produkte und -Dienstleistungen prüfen

Das Institut prüft, welche IKT-Produkte mit digitalen Elementen in den Anwendungsbereich des Cyber Resilience Act fallen.

REG-AIA-001 · Regulatory Landscape

Art. 1-2

KI-Inventar nach AI Act aufbauen

Das Institut verfügt über ein vollständiges Inventar aller eingesetzten KI-Systeme als Grundlage für die AI-Act-Governance.

REG-AIA-002 · Regulatory Landscape

Art. 1-2

KI-Kompetenz nach AI Act institutsweit sicherstellen

Mitarbeitende und Führungskräfte verfügen über ausreichende KI-Kompetenz entsprechend ihrer Rolle und Verantwortung.

OSS-001 · Open Source & Software Supply Chain